Яндекс метрика подготовила раздел, как правильно установить счетчик на сайты с CSP (Content Security Policy) https://yandex.ru/supp…/metrika/code/install-counter-csp.xml
Сейчас, в новом коде счетчика строка <script type="text/javascript" nonce=""> уже содержит заготовку nonce="" на которую ругается Google Tag Manager. При установке в GTM удаляйте этот атрибут, пока GTM не обновит свой валидатор.

https://goo.gl/LQBxnA